日本プルーフポイント エンタープライズ営業部部長 加藤直紀氏

日本プルーフポイントは7月13日、米国Proofpointが毎年発行している「Human Factor」レポートの最新版「Human Factor 2017」(日本語版)を公開した。同レポートは、2016年の世界5000以上の同社の顧客企業に対して試みられた攻撃の解析に基づくもの。

説明会では初めに、日本プルーフポイント エンタープライズ営業部部長の加藤直紀氏が、同社のソリューションと戦略を紹介した。加藤氏は「創業以来、メールセキュリティにフォーカスしており、M&Aもテクノロジーを強化する目的で行っている」と、同社の特徴を説明した。

これまでさまざまなM&Aを行ってきたが、2013年のSendmailのM&Aは特にインパクトが大きかったという。Sendmailは世界規模のMTAベンダーだった。

加藤氏は、同社が提供するソリューションとして、メールセキュリティ対策製品「Email Protection」、メールのインラインで未知の攻撃を検知・ブロックするクラウド型サンドボックス「Targeted Attack Protection」、情報漏洩防止製品「Email Encryption & DLP」、インシデントレスポンス製品「Threat Response」「Emerging Threat Intelligence」を紹介した。

次世代のメールセキュリティとして、「ビジネスメール詐欺(BEC)対策/クレデンシャルフィッシング対策」「マルウェア対策/標的型攻撃対策/ランサムウェア対策」「効果的なオペレーション/柔軟なポリシー設定」を提供していくとした。

日本プルーフポイントが提供する主要なソリューション

次世代のメールセキュリティを実現するソリューション群

不正なメールの送信は木曜日が最も多い

米Proofpoint サイバーセキュリティストラテジー担当Director Jennifer Cheng氏

「Human Factor 2017」の結果については、米Proofpoint サイバーセキュリティストラテジー担当DirectorのJennifer Cheng氏が説明した。

Cheng氏は、同レポートに関するトップ3のメッセージとして「攻撃者は、マルウェアのインストール、個人情報の窃取、資金移送の手段として、人間の弱みを突いて攻撃を仕掛けてくる」「BECは電子メールベースの攻撃の中で最も急速に拡大」「サイバー犯罪者はソーシャルメディアとモバイルを介して人的要因を積極的に狙う」を挙げた。

BECとは、マルウェアが含まれない非マルウェア型のメッセージで、受信者をだまして個人情報やお金を送らせたりするもの。BECはメールを悪用したサイバー攻撃において、2015年は1%だったのに対し、2016年は42%にまでに増加したという。

攻撃の手口は、マシンに対するものから人を狙うものにシフトしており、信頼されたブランドを装ったり、紛らわしいアプリ名を用いたりするなど、さまざまな手口が見られたとしている。

また、Cheng氏は認証情報を狙う「クレデンシャル・フィッシング」について、「人の弱みに付け込むパーソナライズされた攻撃が目立った」と語った。クレデンシャルを窃取するフィッシングページの90%以上がURL誘導型だったことにも言及した。

クレデンシャル・フィッシングで偽装されるサービスのトップは「Appleアカウント」で、これにMicrosoft OWA、Googleドライブが続く。この結果について、Cheng氏は「以前は、FacebookやTwitterが上位にいたが、2016年はSNSが消えた」と述べた。

クレデンシャル・フィッシングの"エサ"トップ10

加えて同レポートでは、不正なメッセージに関する調査も行っているが、興味深い結果が出ている。

まず、不正なファイルが添付されたメールが送信される量は曜日によって異なり、木曜日が最も多く38%を超えていることがわかった。ランサムウェアの攻撃者が不正メールを送るのは、火曜日から木曜日だという。

一方、金融機関を装うトロイの木馬は水曜日がピークで、PoS（Point-of-sale）を攻撃するマルウェアは木曜日と金曜日に集中しており、キーロガーとバックドアは月曜日が好みとのこと。

不正なファイルが添付されたメールの送信状況

また、攻撃者はメールに関する習性を知っており、始業後の4～5時間に最も多くのメールメッセージを送り、ランチライムがピークとなる。メールに含まれる悪意のあるURLはこの時間帯に最も多くクリックされる傾向にあるという。

全業種の悪意のあるURLのクリック率の平均は4.6%で、建築業が最も多かったという。さらに、2016年にユーザーがクリックを行ったOSの割合は、Windowsが44.7%、Androidが37.0%であることもわかっている。

業種別のクリックの傾向

Cheng氏はメールに関するセキュリティ対策について、「自社のネットワークを越えて検知することが重要。脅威が人に到達する前にブロックする必要があるが、単一のソリューションだけでは対処できない。戦略を策定することが不可欠」と述べた。